A Nemzeti Adatvédelmi és Információszabadság Hatóság 2025. évi ellenőrzési terve alapján 21 webáruház honlapján vizsgálta meg az általános adatkezelési tájékoztatás megfelelőségét. Az ellenőrzések nem egyedi panaszok vagy kérelmek alapján indultak, hanem a webáruházak általános tájékoztatási gyakorlatának feltárására irányultak. A NAIH 2026. március 30-án közzétett beszámolója szerint a 21 ellenőrzés közül 18 adatvédelmi hatósági eljáráshoz vezetett, két esetben nem indult eljárás, egy ügyben pedig külföldi felügyeleti hatósággal együttműködésben folytatódott a vizsgálat. A beszámoló készítésének időpontjában a megindult eljárások mintegy fele még folyamatban volt, míg a többi már határozattal zárult, vagy a határozatban előírt intézkedések végrehajtásának ellenőrzése zajlott.

A kézirat 2026. július 26-i lezárásakor közzétett öt határozat ezért egy szélesebb, előre megtervezett jogérvényesítési program első nyilvános eredményei közé tartozik: NAIH-11128-5/2025., NAIH-4021-1/2026., NAIH-450-7/2026., NAIH-4462-4/2026. és NAIH-11443-3/2026. A NAIH ezekben összesen 27,7 millió forint adatvédelmi bírságot szabott ki. Az egyes bírságok összege 200 000 forinttól 15 millió forintig terjedt. A Hatóság öt ügyből háromban a GDPR 5. cikk (1) bekezdés a) pontja szerinti átláthatóság alapelvének, a NAIH-4462-4/2026. számú ügyben pedig az 5. cikk (2) bekezdése szerinti elszámoltathatóság önálló megsértését is megállapította.

A határozatok nem írják át alapvetően a GDPR átláthatósági követelményeit. Jól mutatják azonban, hogy a NAIH az adatkezelési tájékoztatást már nem pusztán dokumentumszerkesztési feladatként kezeli. Az adatkezelőnek nemcsak megfelelő szöveget kell készítenie, hanem biztosítania kell, hogy az megfeleljen a tényleges működésnek, folyamatosan hozzáférhető maradjon, és évekkel később is rekonstruálható legyen, hogy az érintettek mely időszakban milyen tájékoztatást kaptak.

Folyamat-alapú hatósági ellenőrzés

A vizsgálatok módszertana legalább olyan fontos, mint az egyes jogi megállapítások. A NAIH beszámolója szerint a Hatóság célzottan áttekintette a weboldalak releváns tartalmait, azokról forenzikus mentéseket készített, és további nyilvános információkat, így cégkivonatokat, domain-regisztrációs adatokat és archivált weboldal-verziókat is rögzített. A Hatóság az ellenőrzési megközelítését folyamat-alapúként írta le. Ennek keretében nemcsak a közzétett adatkezelési dokumentációt olvasta el, hanem azt a webáruház tényleges tájékoztatási gyakorlatával és adatkezelési folyamataival is összevetette. A NAIH beszámolója szerint a különböző időállapotokat verzió-ellenőrzési űrlapok alkalmazásával és szöveg-összehasonlító módszerrel vizsgálta. Az egyedi eljárásokban az adatkezelőktől is kérte a dokumentumváltozatokra vonatkozó űrlapok kitöltését, ezért a vállalkozásoknak utólag rekonstruálniuk kellett az egyes dokumentumok tartalmát és hatályát.

Az egyik ügyben a NAIH tesztregisztrációt is végzett, és végigkövette a személyes adatok kezelését kiváltó felhasználói folyamatot. A regisztrációval történő megrendeléshez kötelezően meg kellett adni a teljes nevet, a telefonszámot, az e-mail-címet, az irányítószámot, a települést, az utcát, a házszámot és a jelszót; a hírlevél-feliratkozás nem volt kötelező. A Hatóság így nemcsak azt látta, mi szerepelt a tájékoztatóban, hanem azt is, milyen adatokat kellett a vásárlónak megadnia, milyen jelölőnégyzetek jelentek meg, és milyen információt kapott a rendelés vagy a regisztráció során.

Az ellenőrzések során visszatérő mintázatok rajzolódtak ki. A tájékoztatás sok esetben széttagolt, ellentmondásos és a felhasználók számára nehezen értelmezhető volt. Gyakran jelentek meg elavult, más weboldalakról átvett vagy sablonjellegű szövegek, amelyek nem a tényleges adatkezelést írták le. Egyes tájékoztatók továbbra is az Infotv.-t jelölték meg alkalmazandó jogszabályként, vagy már nem létező adatvédelmi nyilvántartási számot tüntettek fel. Előfordult az is, hogy maga az adatkezelő vagy annak elérhetősége nem volt egyértelmű, illetve a tájékoztató technikailag nehezen vagy egyáltalán nem volt hozzáférhető. A Hatóság értékelése szerint ezek a hiányosságok nem pusztán szerkesztési hibákra utaltak. A vizsgált vállalkozások jelentős részénél az adatvédelmi megfelelés nem épült be érdemben a működésbe, a tájékoztató pedig inkább a dokumentációs megfelelés látszatát szolgálta, mint a tényleges adatkezelési folyamatok átlátható bemutatását.

Az adatkezelési információknak ténylegesen hozzáférhetőnek kell lenniük

Az adatkezelési tájékoztató nem válik könnyen hozzáférhetővé pusztán attól, hogy valahol szerepel rá mutató hivatkozás a weboldalon.

Az egyik ügyben az érintett csak az általános szerződési feltételek teljes végiggörgetését követően juthatott el az adatkezelési információkhoz. A NAIH megfelelőbbnek tartotta volna, ha a tájékoztató önálló menüpontban jelenik meg, vagy legalább az ÁSZF elején közvetlen link vezet hozzá.

A NAIH-4462-4/2026. számú ügyben a Hatóság ennél szigorúbban fogalmazott: önmagában nem felel meg a GDPR 12. és 13. cikkének az a gyakorlat, amelyben az adatkezelési tájékoztatást az ÁSZF részeként, más tartalmi elemek közé ágyazva nyújtják. Az érintettnek az adatkezelési információkat egy helyen, egységes szerkezetben és célzottan, külön dokumentumban is meg kell tudnia ismerni. A NAIH e körben a WP29 WP260 rev.01 számú átláthatósági iránymutatás 33. pontjára hivatkozott, amely szerint az adatkezelőnek aktívan kell rendelkezésre bocsátania a tájékoztatást, és nem várható el az érintettől, hogy azt az általános szerződési feltételek között keresse.

Egy másik eljárásban a vásárlási folyamat során kizárólag az ÁSZF elfogadására szolgáló jelölőnégyzet jelent meg. Nem volt olyan önálló tájékoztatási elem, amely az érintett figyelmét az adatkezelés céljára, jogalapjára, időtartamára, címzettjeire és a gyakorolható jogokra irányította volna. A NAIH szerint az ÁSZF elszórt adatvédelmi rendelkezései nem pótolták a GDPR 13. cikke szerinti teljes körű, adatkezelésenkénti tájékoztatást.

A több dokumentumból álló vagy rétegzett tájékoztatás ugyanakkor önmagában nem jogellenes. A webáruház általános tájékoztatója mellett külön cookie-tájékoztató, nyereményjáték-szabályzat, hírlevél-feliratkozási szöveg és az egyes űrlapok mellett megjelenő rövid tájékoztatás is alkalmazható. A dokumentumok hatókörének és egymáshoz való viszonyának azonban világosnak kell lennie, és a különböző szövegeknek koherens, ellentmondásmentes rendszert kell alkotniuk. Nem várható el az érintettől, hogy több dokumentumból maga rekonstruálja, mely jogalap, megőrzési idő vagy címzett kapcsolódik egy adott adatkezeléshez, illetve hogy feloldja az egyes tájékoztatók közötti eltéréseket.

Különösen figyelemre méltó, hogy a NAIH-4021-1/2026. számú ügyben a NAIH kizárólag a GDPR 12. cikk (1) bekezdésének megsértését állapította meg. Nem állapított meg külön jogsértést a GDPR 13. cikkének valamely információs elemével kapcsolatban. Ez azt mutatja, hogy a rossz szerkezet, az információk szétszórtsága, a következetlen fogalomhasználat és a dokumentum nehéz érthetősége önmagában is szankcionálható.

A többletinformáció is jogsértő lehet

A határozatok szerint az adatkezelési tájékoztató nemcsak azért lehet jogsértő, mert információk hiányoznak belőle. A túl sok irreleváns, ismétlődő vagy általános jogi információ szintén akadályozhatja a megértést. Az egyik adatkezelési tájékoztató részletesen ismertette, hogy az adatkezelő miért nem jelölt ki adatvédelmi tisztviselőt, bemutatta a GDPR alapfogalmait és alapelveit, valamint hosszasan tárgyalta az adatbiztonsági és incidenskezelési kötelezettségeket. A NAIH szerint ezek a részek nem az érintettek személyes adatainak konkrét kezeléséről szóltak, ezért az előzetes tájékoztatás szempontjából nem minősülnek releváns információnak. Ugyanez a tájékoztató több helyen megismételte az adatkezelő elérhetőségét, az alkalmazandó jogszabályokat, a hozzáférésre jogosult munkavállalók körét és az érintetti jogok gyakorlásának módját. A Hatóság szerint ezek az ismétlések indokolatlanul növelték a dokumentum terjedelmét, miközben csökkentették annak áttekinthetőségét.

Az érintetti jogokat bemutató fejezet sem válik megfelelőbbé attól, hogy több oldalon keresztül újrafogalmazza a GDPR rendelkezéseit. A NAIH az egyik tájékoztató 7–10. oldalán szereplő fejezetet aránytalanul hosszúnak, feleslegesen részletesnek és körülményesnek találta.

A megfelelő tájékoztató ezért nem általános adatvédelmi kézikönyv. Valamennyi, a tényleges adatkezelés megértéséhez szükséges információt tartalmaznia kell, de kerülni kell a hosszú jogszabályszövegeket, a jogszabályismertetéseket, az adatkezelő belső megfelelési kötelezettségeinek részletezését és az ismétlődő szövegrészeket.

A tájékoztatónak a webáruház tényleges működését kell bemutatnia

A NAIH több olyan dokumentumot azonosított, amelyet más weboldalról vagy általános sablonból vettek át anélkül, hogy azt a konkrét webshop működéséhez igazították volna.

Az egyik ügyben ugyanazt a tájékoztatót több weboldalon használták. A „Kik vagyunk” fejezet azt a benyomást keltette, hogy az adott weboldalon élelmiszereket lehet vásárolni, miközben a vizsgált webshop teljesen más termékkört forgalmazott. A Hatóság szerint a közös mintadokumentum nem teljesíti a tájékoztatási kötelezettséget, ha nem a konkrét weboldalon végzett adatkezelést mutatja be.

Más tájékoztatók már megszüntetett regisztrációs funkcióra, elavult adatvédelmi nyilvántartási számra, ténylegesen nem végzett profilalkotásra és automatizált döntéshozatalra, valamint nem megvalósuló adattovábbításokra hivatkoztak. A NAIH ezeket valótlan, szükségtelen vagy félrevezető információként értékelte, amelyek sértették a GDPR 12. cikk (1) bekezdése szerinti világos és átlátható tájékoztatás követelményét. Az egyik ügyben a hibák rendszerszintű halmozódása az átláthatóság alapelvének külön megsértéséhez is vezetett.

Az egyik webáruházi tájékoztató raktári és munkahelyi kamerás megfigyeléshez, valamint rendezvényekhez kapcsolódó adatkezeléseket is tartalmazott, noha a dokumentum a webshop látogatóihoz és vásárlóihoz szólt. A tájékoztató közhatalmi jogosítvány gyakorlásán alapuló adatkezelésre is utalt, miközben az adatkezelő kereskedelmi tevékenységet végző vállalkozás volt.

Az egységes vállalati adatkezelési tájékoztató alkalmazása önmagában nem jogellenes. A dokumentum hatályát azonban pontosan meg kell határozni, és egyértelművé kell tenni, hogy az egyes adatkezelések mely érintetti körre, felületre és adatkezelési helyzetre vonatkoznak. Ennek hiányában célszerű az eltérő érintetti körökhöz kapcsolódó adatkezeléseket külön dokumentumokban bemutatni.

A korábbi adatvédelmi terminológia kritikátlan átvételét is kerülni kell. A NAIH például kifogásolta a már elavult, korábbi Infotv. szerinti „zárolás” fogalom használatát az adatkezelés korlátozásához való jog, vagyis a GDPR 18. cikke szerinti jogosultság megfelelő bemutatása helyett.

A legaltech rendszer és a külső szakértő sem veszi át az adatkezelő felelősségét

A tájékoztatók automatizált előállítása vagy legaltech rendszer használata önmagában nem kifogásolható. Ezek az eszközök segíthetik a tipikus adatkezelések azonosítását és a dokumentumok szerkesztését. A generált szöveget azonban közzététel előtt hozzáértő személynek kell összevetnie a tényleges adatkezelési folyamatokkal.

A NAIH egyik ügyben kifejezetten rögzítette, hogy a generált dokumentum emberi felülvizsgálata az adatkezelő felelőssége. Az adatkezelőnek ellenőriznie kell, hogy a kiválasztott adatkezelések valóban megtörténnek-e, a célok és a jogalapok megfelelőek-e, és nem maradt-e a tájékoztatóban irreleváns vagy valótlan sablonszöveg.

Az egyik rendszer akkor is új dátummal generálta és tette közzé az adatkezelési tájékoztatót, amikor az adatkezelő a rendszerben tárolt másik dokumentumot, vélhetően az ÁSZF-et módosította, miközben a tájékoztató adatvédelmi tartalma változatlan maradt. A különböző dátumú, de tartalmilag azonos dokumentumok megnehezítették annak megállapítását, hogy mikor történt érdemi módosítás és melyik változat volt alkalmazandó.

A NAIH kifejezetten rögzítette, hogy a külső szakértő vagy adatvédelmi tisztviselői feladatokat ellátó szolgáltató közreműködése nem mentesíti az adatkezelőt. A GDPR-nak való megfelelésért és annak igazolásáért továbbra is maga az adatkezelő felel. Ugyanez az elszámoltathatósági logika irányadó lehet az ügyvédek, webfejlesztők és más külső közreműködők bevonásakor is.

Különösen kedvezőtlen, ha a vállalkozás maga sem tudja megmagyarázni, hogy az általa megjelölt szolgáltató milyen adatkezelést végez, milyen szerepben jár el, vagy történik-e a szolgáltatás keretében profilalkotás. A kiszervezés megkönnyítheti a tájékoztató elkészítését vagy technikai közzétételét, de az adatkezelő tájékozottságát és elszámoltathatóságát nem helyettesíti.

Az adatkezelési célokat és jogalapokat egyértelműen össze kell kapcsolni

Az adatkezelő nem sorolhatja fel általánosságban a GDPR 6. cikk (1) bekezdésének valamennyi lehetséges jogalapját anélkül, hogy meghatározná, azok közül melyik kapcsolódik az egyes adatkezelési célokhoz.

Az egyik tájékoztató szerint a regisztráció egyszerre alapult hozzájáruláson és szerződés teljesítésén, a hírlevélküldés hozzájáruláson és jogos érdeken, a nyomkövető technológiák használata pedig ugyancsak hozzájáruláson és jogos érdeken.

A NAIH szerint ugyanahhoz az adatkezelési tevékenységhez és célhoz nem rendelhető párhuzamosan több, alternatív jogalap. Amennyiben az adatok kezelése több, egymástól eltérő célból történik, ezeket a célokat külön kell meghatározni, majd mindegyikhez hozzá kell rendelni a megfelelő jogalapot. Ez nem zárja ki, hogy ugyanazt az adatot több, egymást követő vagy egymástól eltérő célból, különböző jogalapokon kezeljék. A rendelés teljesítéséhez szükséges adat például később jogszabályi megőrzési kötelezettség alapján tovább őrizhető. A tájékoztatónak azonban világosan el kell különítenie a célokat, időszakokat és jogalapokat.

A nemzeti jogszabály megjelölése önmagában szintén nem helyettesíti a GDPR szerinti jogalapot. Egy ügyben az adatkezelő az elektronikus kereskedelemről szóló magyar törvényt jelölte meg, de nem határozta meg megfelelően a GDPR 6. cikke szerinti jogalapot. Egy másik ügyben a Polgári Törvénykönyv általános elévülési szabályaira jogi kötelezettségként hivatkozott. A NAIH szerint az elévülés és a későbbi igényérvényesítés lehetősége nem minősül önmagában az adatkezelést előíró jogszabályi kötelezettségnek.

Az adatkezelési célnak is kellően konkrétnak kell lennie. A „webáruház működtetése”, az „üzleti cél” vagy a „felhasználói élmény fokozása” nem feltétlenül magyarázza meg, hogy milyen adatokat, milyen művelet keretében és milyen eredmény elérése érdekében kezelnek.

A NAIH szerint a „Webáruház működtetéséhez kapcsolódó adatkezelés” megnevezés annyira általános lehet, hogy gyakorlatilag a vállalkozás valamennyi adatkezelése beletartozik. Hasonlóképpen nem volt kellően konkrét a keresztnév és a település „felhasználói élmény fokozása” céljából történő kezelése sem, mert nem derült ki, milyen weboldalfunkcióhoz kapcsolódik, és milyen esemény váltja ki az adatkezelést.

A megőrzési időnek a célhoz és az adatkörhöz kell igazodnia

A megőrzési idő nem kezelhető az adatkezelési céltól és a jogalaptól elszakított, általános információként. A NAIH az öt vizsgált ügy közül négyben állapította meg a GDPR 13. cikk (2) bekezdés a) pontjának megsértését, mert a tájékoztatók nem határozták meg megfelelően az adatkezelés időtartamát vagy annak meghatározási szempontjait.

Az egyik ügyben a tájékoztató a számlázáshoz kapcsolódó nyolcéves számviteli megőrzést az e-mail-címre és a telefonszámra is kiterjesztette, noha ezek nem képezték a számviteli bizonylat kötelező tartalmát. A NAIH szerint a számviteli megőrzési kötelezettség ezért ezekre az adatokra nem biztosított automatikusan jogalapot.

Külön kérdés a hozzájárulás bizonyítékának megőrzése. A NAIH álláspontja szerint a hozzájáruláson alapuló adatkezelés fennállása alatt az adatkezelőnek igazolnia kell tudni a hozzájárulást. Az alapul szolgáló adatkezelés megszűnése vagy a hozzájárulás visszavonása után azonban a bizonyíték további megőrzéséhez másik jogalap, jellemzően megfelelően igazolt jogos érdek szükséges. A Hatóság e körben az általános polgári jogi elévülési idő automatikus alkalmazását is elutasította.

A címzettek felsorolását az adott adatkezelési célhoz és művelethez kell kapcsolni

Az adatfeldolgozók és más címzettek dokumentum végén szereplő általános listája nem feltétlenül teszi átláthatóvá az adatáramlást. A NAIH elvárása szerint az érintett számára megállapíthatónak kell lennie, hogy az egyes szolgáltatók mely adatkezelési célhoz kapcsolódnak, milyen személyes adatokat kapnak meg, milyen műveletet végeznek, és milyen adatvédelmi szerepben járnak el.

Az egyik ügyben a címzettek felsorolása elszakadt a marketing, a webanalitika, az ügyfélszolgálat és az online fizetés adatkezelési műveleteinek bemutatásától. Az érintett nem tudhatta meg, hogy mely adatai, milyen célból és mely szolgáltatóhoz kerülnek továbbításra.

A NAIH az adatfeldolgozó, az önálló adatkezelő és a közös adatkezelő szerepének következetlen használatát is kifogásolta. Az egyik ügyben például a Facebook általánosságban adatfeldolgozóként szerepelt, noha a szolgáltatás és az adatáramlás jellegétől függően önálló vagy közös adatkezelői szerep is felmerülhetett.

A Hatóság ugyanakkor nem feltétlenül minősíti át a felek jogviszonyát pusztán a tájékoztató szóhasználata alapján. Az egyik ügyben nem állapította meg a közös adatkezelésre vonatkozó GDPR 26. cikk megsértését, mert az adatkezelő azt nyilatkozta, hogy a marketplace partnerekkel nem áll fenn közös adatkezelés, és az erre utaló rendelkezést törli. A partnerek szerepének ellentmondásos bemutatását azonban a NAIH továbbra is a tájékoztatási kötelezettség megsértéseként értékelte.

A sütitájékoztatás nem merülhet ki külső linkekben

A cookie-k, a webanalitika, a remarketing és a profilalkotás tekintetében nem elegendő a szolgáltató nevét és egy általános cookie-kategóriát feltüntetni. A webshop üzemeltetőjének tájékoztatást kell adnia arról, hogy milyen személyes adatokat gyűjtenek vagy továbbítanak, mi az adatkezelés célja és jogalapja, mennyi ideig tart, milyen szerepben jár el a technológiai szolgáltató, illetve történik-e profilalkotás.

Az egyik tájékoztató konverziós jelentésekre és a honlaphasználat részletes elemzésére utalt, de nem határozta meg az érintett személyes adatok körét, a szolgáltatók adatvédelmi szerepét vagy azt, hogy az adatkezelés profilalkotással jár-e.

A szolgáltató saját adatkezelési vagy cookie-tájékoztatójára mutató link kiegészítheti, de nem helyettesítheti a webshop saját tájékoztatását. Az érintettől nem várható el, hogy több, esetleg folyamatosan változó vagy idegen nyelvű külső dokumentumból maga rekonstruálja a webáruház adatkezelését.

Ha a webáruház vásárlási szokásokat, böngészési előzményeket vagy érdeklődési köröket elemez, meg kell vizsgálnia, hogy a művelet a GDPR szerinti profilalkotásnak minősül-e. Ha igen, azt világosan be kell mutatni. Ha nem történik profilalkotás, az erre vonatkozó sablonszöveget el kell hagyni.

A nemzetközi adattovábbításokat be kell mutatni

Az adattovábbításokra vonatkozó tájékoztatásnak koherensen ki kell terjednie valamennyi releváns, Európai Gazdasági Térségen kívüli szolgáltatóra.

Az egyik ügyben a tájékoztató kizárólag egyetlen szolgáltató tekintetében tüntetett fel adattovábbítási garanciát, miközben a dokumentum más részei további harmadik országbeli szolgáltatók bevonására utaltak. Az érintett így nem tudhatta meg, hogy személyes adatai pontosan mely címzettekhez, milyen célból és milyen jogi feltételek mellett kerülnek.

Egy másik tájékoztató közölte, hogy kivételesen a teljes IP-cím is továbbításra kerülhet egy egyesült államokbeli szerverre, de nem azonosította az alkalmazott adattovábbítási mechanizmust, és azt sem, hogy az érintett hol ismerheti meg vagy kérheti ki a megfelelő garanciák másolatát.

Az adatkezelőnek nem kell a teljes szerződéses dokumentációt beillesztenie a tájékoztatóba. Meg kell azonban jelölnie az alkalmazott jogi mechanizmust, annak lényegét, valamint azt, hogy az érintett hol kaphat további információt.

A nyereményjátékok és más webshopfunkciók külön vizsgálatot igényelnek

A webáruház adatkezelése nem korlátozódik a rendelésre, a számlázásra és a kiszállításra. A kapcsolatfelvételi űrlapok, a jótállási és panaszkezelési folyamatok, a termékértékelések, a képfeltöltések és a nyereményjátékok szintén önálló adatkezelési célokat jelenthetnek.

A NAIH egyik ügyben megállapította, hogy a webshop kapcsolatfelvételi űrlapot működtetett és jótállási, illetve szavatossági igényeket kezelt, de ezekről nem adott megfelelő tájékoztatást.

A termékértékeléseknél el kell különíteni a vélemény bekérését és közzétételét annak esetleges további, például marketingcélú felhasználásától. Ha az érintett fényképet is feltölthet, világossá kell tenni, hogy a kép hol, milyen közönség számára, milyen célból és mennyi ideig lesz hozzáférhető.

A nyereményjátékoknál a hozzájárulás önkéntessége és elkülönültsége különösen fontos. Az egyik ügyben a hozzájárulás nem külön, kifejezett nyilatkozatként, hanem a játékban való részvétellel összekapcsolva jelent meg. A NAIH szerint az ilyen módon megadott hozzájárulás nem minősült a GDPR szerinti önkéntes, egyértelmű és megfelelő hozzájárulásnak. Egy másik szabályzat a részvétel feltételévé tette a hírlevélre való feliratkozást és a marketingcélú felhasználáshoz való hozzájárulást, de nem különítette el világosan a nyereményjáték lebonyolításához és a marketinghez kapcsolódó célokat és feltételeket. Emiatt az érintettek nem tudhatták egyértelműen, hogy az egyes adatkezelési műveletek milyen célból és milyen feltételekkel történnek.

A gyermekek adatainak kezelése külön figyelmet igényel

Az egyik legsúlyosabb megállapítás a gyermekek nevének, nemének és teljes születési dátumának regisztráció során történő kezeléséhez kapcsolódott. A vizsgált időszakban alkalmazott egyetlen adatkezelési tájékoztató sem ismertette ennek az adatkezelésnek a célját, jogalapját, időtartamát vagy címzettjeit.

A NAIH szerint az adatkezelés ténye és terjedelme az érintettek számára rejtve maradt. A Hatóság a gyermekekre vonatkozó adatkezelés nevesítésének elmulasztását külön súlyosbító körülményként értékelte, mert a hiányosság nemcsak az adatkezelés megértését, hanem annak felismerését is ellehetetlenítette.

A többéves vizsgálati időszakok miatt a múltbeli megfelelés is releváns

A NAIH egyes ügyekben közel hatéves időszakot vizsgált. A NAIH-4462-4/2026. számú ügy 2020. január 1-jétől 2025. október 28-ig, a NAIH-450-7/2026. számú ügy pedig 2020. január 1-jétől 2025. november 12-ig terjedt; a NAIH-11443-3/2026. számú ügyben szintén 2020 elejéig nyúlt vissza a vizsgálat. A vállalkozásoknak ezért nemcsak az aktuális, hanem a korábbi dokumentumváltozatok és közzétételi gyakorlat megfelelőségét is igazolniuk kellett.

A NAIH-11443-3/2026. számú ügyben az adatkezelő hatásköri kifogásként a közigazgatási szabályszegések szankcióiról szóló 2017. évi CXXV. törvény 5. § (4) bekezdése szerinti hároméves határidőre hivatkozott. A NAIH álláspontja szerint folyamatosan fennálló jogsértő állapotnál a határidő csak a jogellenes állapot megszűnésekor kezdődhet meg; a vizsgált szabályzat2018. május 23. és 2025. április 30. között, vagyis csaknem hét éven keresztülvolt hatályban. A Hatóság emellett úgy ítélte meg, hogy a Szankciótv.-t a GDPR-ral összhangban kell értelmezni, a GDPR pedig nem határoz meg általános időbeli korlátot a vizsgálható adatkezelésekre.

Ez a NAIH hatósági álláspontja, amelynek esetleges bírósági felülvizsgálatáról a rendelkezésre álló iratok nem adnak információt. Gyakorlati jelentősége ugyanakkor egyértelmű: a jelenlegi tájékoztató kijavítása önmagában nem szünteti meg a korábbi időszakban fennálló jogsértést, és nem pótolja a múltbeli megfelelés bizonyítékait.

Az adatkezelőnek bizonyítékot is kell őriznie a megfelelésről

A döntések egyik legfontosabb fejleménye az elszámoltathatóság és a verziókezelés szerepének megerősödése.

ANAIH-4462-4/2026. számúügyben az adatkezelő külső rendszerben generálta, majd a weboldalba ágyazta be az adatkezelési tájékoztatót. Állítása szerint egy technikai változás miatt a tartalom később eltűnt, de nem tudta megállapítani, hogy a hiba mikor keletkezett és mennyi ideig állt fenn.

A NAIH archivált honlapverziókat vizsgált, és megállapította, hogy a korábbi dokumentumok már a feltételezett technikai hiba előtt is jelentősen hiányosak voltak. Egy 2022. évi archivált változatban a hivatkozás 404-es hibára vezetett. Az adatkezelő nem tudta dokumentálni, hogy melyik tájékoztató mely időszakban volt hatályos, mikor tették közzé, illetve ténylegesen hozzáférhető volt-e.

A Hatóság ezért az elszámoltathatóság alapelvének önálló megsértését is megállapította, és arra kötelezte az adatkezelőt, hogy a tájékoztató egyes verzióit, azok hatályát és közzétételi időpontját utólag is ellenőrizhető módon dokumentálja.

Az adatkezelőknek ezért nemcsak a korábbi szövegváltozatokat kell megőrizniük, hanem a közzététel és az elérhetőség bizonyítékait is. Ilyenek lehetnek a képernyőmentések, a tartalomkezelő rendszer naplói, a publikálási előzmények, a belső jóváhagyások és a változásokat bemutató verziótáblák.

Az aktuális tájékoztató önmagában nem bizonyítja, hogy az érintettek évekkel korábban is megfelelő információt kaptak.

A bírságok nem alkotnak lineáris tarifát

A 200 000, 500 000, 2 millió, 10 millió és 15 millió forintos bírságokból nem vezethető le automatikus bírságtarifa.

A NAIH a bírságok meghatározásakor a GDPR 83. cikkében szereplő szempontok mellett az Európai Adatvédelmi Testület 4/2022. számú, a közigazgatási bírságok kiszámításáról szóló iránymutatását alkalmazta. Figyelembe vette a vállalkozások árbevételét, a jogsértések súlyát és időtartamát, az érintettek számát, az esetleges korábbi elmarasztalásokat és az eljárás alatt végrehajtott korrekciókat.

A NAIH-11128-5/2025. és a NAIH-11443-3/2026. számú ügyekben érintett vállalkozásokugyanabba, a 2 és 10 millió euró közötti árbevételikategóriába tartoztak, a kiszabott bírság mégis 500 000, illetve 2 millió forint lett. Ebben elsődlegesen az játszott szerepet, hogy a Hatóság az egyik ügyben alacsony, a másikban közepes súlyúnak minősítette a jogsértéseket, de a bírság összegét az ügyenként eltérő súlyosító és enyhítő körülmények is befolyásolták.

Az EDPB-iránymutatás szerinti, a forgalomhoz és a súlyossághoz igazított számításbana NAIH-11128-5/2025. számú, alacsony súlyú ügyben40 000 euró,a NAIH-11443-3/2026. számú, közepes súlyú ügyben80 000 euró szerepelt.Ezek nem a GDPR 83. cikk (5) bekezdése szerinti jogszabályi maximumok voltak. A jogszabályi felső határ a 20 millió euró és az előző pénzügyi év teljes éves világpiaci forgalmának 4 százaléka közül a magasabb összeg, amely e két vállalkozás esetében 20 millió euró volt.A ténylegesen kiszabott 500 000, illetve 2 millió forintos bírság az így számított összegeknek is csak töredékét tette ki.

A döntések azt is mutatják, hogy a súlyossági minősítés nem vezethető le egyszerűen a megsértett GDPR-rendelkezések számából vagy abból, hogy történt-e külön alapelvi jogsértés.A NAIH-11128-5/2025. számú, alacsony súlyúnak minősített ügyben a Hatóság megállapította az átláthatóság alapelvének megsértését, és jelentős érintetti kört is figyelembe vett.A NAIH-11443-3/2026. számú, közepessúlyúnak minősített ügyben ugyanakkor nem került sor külön alapelvi jogsértés megállapítására.

ANAIH-4462-4/2026. számúügyben a Hatóság a jogsértéseket rendszerszintűnek, a magatartást pedig súlyosan gondatlannak minősítette. A NAIH-450-7/2026. számú ügybena hosszú időtartam, a rendkívül széles érintetti kör, az érintetti jogok megszorító bemutatása és egy korábbi adatvédelmi elmarasztalás is szerepet kapott a bírság meghatározásában.

Az eljárás alatt végrehajtott javítás enyhítő körülmény lehet, de nem szünteti meg a korábban fennálló jogsértést.

Mit érdemes tenniük a vállalkozásoknak?

A határozatok alapján az adatkezelési tájékoztató felülvizsgálatát nem a meglévő dokumentum szövegével, hanem a weboldal tényleges adatfolyamainak feltérképezésével kell kezdeni.

Az adatkezelőnek át kell tekintenie valamennyi űrlapot, vásárlási folyamatot, cookie-t, analitikai és hirdetési eszközt, fizetési és szállítási szolgáltatást, valamint meg kell határoznia a külső szereplők adatvédelmi minőségét. Ezt követően ellenőrizhető, hogy a tájékoztató valamennyi tényleges adatkezelést bemutatja-e, és nem tartalmaz-e megszűnt vagy soha nem végzett műveleteket.

Minden adatkezelési célhoz egyértelműen hozzá kell rendelni a kezelt adatokat, a jogalapot, a címzetteket és a megőrzési időt, továbbá azt, hogy az adatok megadása jogszabályi vagy szerződéses kötelezettség-e, a szerződéskötés előfeltétele-e, és milyen következményekkel járhat az adatszolgáltatás elmaradása. Az általános vállalati sablonokat, a legaltech rendszer által generált szövegeket és a külső szolgáltatók dokumentációját emberi felülvizsgálatnak kell követnie.

A tájékoztató elérhetőségét weboldalfrissítések és szolgáltatóváltások után ténylegesen tesztelni kell. A korábbi verziókat, azok hatályát és közzétételét pedig úgy kell megőrizni, hogy a megfelelés később is bizonyítható maradjon.

A téma várhatóan az európai jogérvényesítésben is kiemelt marad. Az Európai Adatvédelmi Testület 2026. március 19-én elindított összehangolt jogérvényesítési intézkedése kifejezetten a GDPR 12–14. cikke szerinti átláthatósági és tájékoztatási kötelezettségekre összpontosít. A kezdeményezésben 25 európai adatvédelmi hatóság vesz részt. A hatóságok 2026 második felében megosztják és közösen értékelik megállapításaikat, majd konszolidált jelentés készül, amelyet az EDPB elé terjesztenekelfogadásra. (EDPB, CEF 2026: EDPB launches coordinated enforcement action on transparency and information obligations, 2026. március 19.)

A NAIH döntései alapján az átláthatóság már nem egyszerűen annak kérdése, hogy van-e a weboldalon adatkezelési tájékoztató. Az adatkezelőnek biztosítania kell, hogy a dokumentum megfeleljen a tényleges működésnek, folyamatosan hozzáférhető maradjon, és a vizsgált időszak egészére vonatkozóan bizonyítékokkal is alátámasztható legyen.